Виртуальная банковская реальность
Вопрос веры клиентов в надежность услуги онлайн-банкинга уже который год подряд беспокоит банки. С одной стороны, это очень удобно — любой клиент может управлять своими счетами через браузер, не выходя из дома. Но с другой стороны, популярность этого вида работы с банковскими данными открывает новые возможности для кибермошенников, желающих завладеть финансовой информацией пользователя
Вопрос веры клиентов в надежность услуги онлайн-банкинга уже который год подряд беспокоит банки. С одной стороны, это очень удобно — любой клиент может управлять своими счетами через браузер, не выходя из дома. Но с другой стороны, популярность этого вида работы с банковскими данными открывает новые возможности для кибермошенников, желающих завладеть финансовой информацией пользователя
Рынки, на которых банковские веб-сервисы представлены уже давно, теряют приверженцев этих видов услуг. Виной тому изрядная активность киберпреступников, набирающая обороты год от года. Только похищенные данные владельцев кредитных карт приносят киберпреступникам, по разным оценкам, от 100 до 200 млрд долл. в год. И дальше будет только хуже. Работы у специалистов в области ИТ будет с избытком.
Может ли банк банк гарантировать 100%-ную сохранность информации?
Отечественные банковские ИТ-реалии несколько отстают от западных прототипов. Общий уровень распространения банковских онлайн-технологий у нас значительно ниже зарубежного, поэтому активность российских банков в Сети имеет потенциал за счет привлечения новых пользователей, еще не сталкивавшихся с «суровой реальностью». С одной стороны, это неплохо, но, увы, это может оказаться и дополнительным стимулом сэкономить на новых технологиях: видимого роста можно добиться просто подключением к системе новых участников.
Рынок информации увеличивает свои объемы буквально ежедневно. Некоторые сведения имеют невысокую стоимость, а какие-то данные способны (при правильной их интерпретации и использовании) принести хозяину целое состояние. Банки активно работают с корпоративными клиентами, включая тех, чьи ценные бумаги торгуются на различных площадках, в том числе и за пределами страны. Банк очень часто одним из первых узнает о каких-то новых проектах, о неудаче старых и т.д. Любая своевременная утечка может быть использована игроками для спекулятивных операций. А это, в зависимости от величины компании, может обеспечить мошенникам значительные доходы. Информация, доступная банку, может быть похищена и с помощью вредоносных (например троянских) программ, чему, при умелом подходе, не смогут помешать ни технические средства защиты, ни организационные мероприятия, ни тем более законодательные ограничения. Информация, если она имеет реальную ценность, будет добыта и использована. Но не только корпоративные клиенты банков могут стать жертвой киберпреступников. Данные о счетах физических лиц также могут быть использованы для подготовки других преступлений.
К сожалению, сегодня банк не может на 100% гарантировать тайну вклада или сохранность данных. Существуют проблемы как организационно-технические, так и законодательные. Для решения первых многим необходимо пересматривать подход к организации защиты информации, к процессу обработки данных клиентов. Это, пожалуй, самая сложная задача, стоящая перед банком. Проблема законодательная связана с тем, что сложно заставить банк отвечать по искам об ущербе, причиненном в результате хищения персональных или бизнес-данных.
Системы подтверждения наличия карты
Одним из интересных способов защиты владельцев банковских карт является получение подтверждения физического наличия у плательщика самой карты. Уже сегодня многие сервисы предлагают своим пользователям подтвердить наличие банковской карты, высылая просьбу предоставить сканированную копию обеих сторон кредитки. В файле-копии предлагается «зачернить» код безопасности карты. Это не вполне удобно при онлайновой покупке: пользователь теряет время и должен иметь дополнительное оборудование (сканер). Кроме того, отправить сканированное изображение предлагается по электронной почте, что само по себе по определению небезопасно.
Сегодня банки предлагают более продвинутое решение. Специальное ПО, являющийся модулем интернет-банка, с помощью веб-камеры проверяет фактическое наличие у плательщика банковской карты. Новая технология 3D-анализа позволяет определить материал, из которого изготовлена карта, установить наличие на ее поверхности голограммы, при этом система не делает фотографии карты, что исключает подмену данных. Применение этой и подобных технологий способно значительно осложнить жизнь киберпреступникам. Разумеется, такое решение — не панацея. Никто не должен забывать об антивирусе с брандмауэром и актуальных обновлениях всего используемого софта.
Еще один простой способ подтвердить наличие карты именно у ее владельца, а не у третьего лица — подтверждение транзакций с помощью одноразовых паролей. Это также помогает предотвратить перехват трафика злоумышленником для получения доступа к финансам пользователя. Несмотря на то, что теоретически подмена сервера возможна, осуществить подобное мошенничество не так просто, особенно при использовании SSL-соединения с сертификатом, подписанным третьей стороной. В качестве носителей паролей может быть мобильный телефон (sms-сообщение с одноразовым паролем), банкомат (одноразовые пароли) или «токен» (электронное устройство, привязанное к аккаунту клиента, которое генерирует сессионные ключи в режиме реального времени). Такой способ идентификации клиента достаточно сложен для перехвата третьими лицами, но телефон или «токен» могут быть украдены у законного владельца, а список паролей утерян. Более того, если использовать услугу сохранения паролей в браузере телефона, то мошенник беспрепятственно сможет завладеть деньгами пользователя.
Защита при работе в онлайн-банкинге
Когда владелец карты идентифицирован, следующей задачей является обеспечение безопасности его работы с интернет-банкингом. Еще один уровень защиты представляет собой виртуальную клавиатуру, которая также предотвращает возможность перехвата пароля, так как он набирается курсором на экране. Такой способ ввода информации поможет сберечь данные клиента в случае, если на его компьютере установлены клавиатурный логгер или программа-шпион, которые фиксируют и отправляют все введенные с клавиатуры данные злоумышленникам, но не поможет при проникновение злоумышленника в браузер (man in the browser, об этом ниже).
Банковская карта в мобильном телефоне
Наличие продуманной услуги интернет-банка является для многих потенциальных клиентов все более важным моментом для выбора банка. Возможно, в будущем у банков не будет даже офисов для приема клиентов. Уже и сейчас многие клиенты появляются в офисе банка только один раз (при открытии счета), корреспонденция доставляется по электронной почте или встроенными средствами интернет-банка, а современные технологии даже позволяют отказаться при оплате от пластиковой карты как таковой — достаточно иметь мобильный телефон. Такой вид защиты поможет уберечься от оффлайн-мошенников. С его помощью уже сейчас во многих странах мира оплачивается, например, проезд в общественном транспорте. Разумеется, речь идет о совместных проектах банков и транспортных компаний. Единственное, что сдерживает развитие этой технологии — не готовность отечественных торговых сетей принимать такой вид оплаты.
Кредиты между клиентами банка
Банки предлагают сейчас даже полностью интернет-ориентированный продукт — так называемый Peer-to-Peer банкинг, при котором банк обеспечивает посредничество и гарантии предоставления кредитов от человека к человеку. Продукт отлично вписывается в мир интернет-банкинга. Клиенты банка могут предоставлять кредиты другим клиентам, не зная их. Для этого достаточно заполнить заявку в системе управления счетом. Это уже прямое инвестирование. Кредитор может наблюдать в реальном режиме времени все движения по кредитному счету своих заемщиков. Но такие революционные идеи могут оказать банкам медвежью услугу, если наученные опытом граждане объединятся в кредитные кооперативы и пожелают избавиться от посредника. Кстати, почему не пойти дальше и не предложить такую же услугу пользователям интернет-кошельков современных электронных платежных систем? И такая услуга обязательно появится, если не появилась уже. И вот здесь вопрос защиты информации и предотвращения взлома системы становится важнейшим. Перехват паролей, эмуляция физических устройств аутентификации, фишинг-страницы... Все это будет встречаться нам в повседневной жизни все чаще.
Банковские “облака”
Банки идут в Интернет не только ради взаимоотношений с клиентами, но и для решения внутренних задач. Для взаимодействия филиалов или даже партнерских сетей между собой создаются банковские «облака». Например, это может быть удобно при работе с кредитными историями клиентов. Если мы будем говорить о более важных документах, то раньше ни кому в голову не приходило использовать для пересылки конфиденциальной информации телекоммуникационные каналы связи. Сейчас же появляются технологии, способные обеспечить практически 100%-ную гарантию безопасности: виртуальные частные сети для осуществления доступа к данным, система распределения доступа по уровням конфиденциальности информации, хранение информации об одном объекте в разных местах с распределением доступа к ним по уровням допуска сотрудников, шифрованный трафик… Хранящиеся в удаленных ЦОД бизнес-данные не могут быть даже прочитаны оператором. Остается только одно слабое звено — фактор инсайда, но это уже в меньшей степени техническая проблема.
* * *
Итак, с одной стороны мы имеем передовые технологии, предлагающие максимум комфорта и оперативности, а с другой — постоянно увеличивающийся процент клиентов банка, перестающих доверять онлайн-технологиям кредитных учреждений. Разумеется, вопрос безопасности должен решаться на стороне банка, но и пользователи не должны забывать о мерах защиты. Чем больше узлов будет защищено, тем ниже степень уязвимости системы.
Банки становятся все более виртуальными, что делает их значительно более гибкими и позволяет оперативнее решать многие вопросы. Кроме того, Интернет предлагает банкам поистине невиданные до сих пор возможности по расширению клиентской базы. Начало этим кампаниям положено с появлением банков в социальных сетях, блогах и микроблогах. Если раньше банки ценились своей консервативностью, то главное слово сегодня — инновационность.
Опубликовано 20.09.2011